ISO 27001:2022 Vedlegg A Kontroll 5.1

Hvordan fungerer ISO 27001:2022 vedlegg A 5.1?

Informasjonssikkerhetspolicyer er utformet for å beskytte bedriftens sensitive informasjon mot tyveri og uautorisert tilgang.

In i samsvar med ISO 27001, Vedleggskontroll A 5.1 veileder formålet og gjennomføringen av å etablere en informasjonssikkerhetspolicy i en organisasjon.

En overordnet informasjonssikkerhetspolicy kreves av Vedlegg A Kontroll 5.1 for organisasjoner til å administrere sin informasjonssikkerhet. Ledelsen skal godkjenne retningslinjene, som skal gjennomgås jevnlig dersom det skjer endringer i informasjonssikkerhetsmiljøet.

Den hensiktsmessige tilnærmingen er å møtes regelmessig, minst en gang i måneden, med ekstra møter etter behov. I tillegg til å dele retningslinjer med interne og eksterne interessenter, må ledelsen godkjenne eventuelle endringer før de implementeres.

Komme i gang og oppfylle kravene i vedlegg A 5.1

A detaljert operasjonsprosedyre som beskriver hvordan informasjonssikkerhetspolicyen skal implementeres bør være basert på og støttet av en informasjonssikkerhetspolicy.

Politikken bør godkjennes av topp ledelse og kommunisert til ansatte og interesserte.

I tillegg til å gi retning til organisasjonens tilnærming for å administrere informasjonssikkerhet, kan policyen brukes til å utvikle mer detaljerte driftsprosedyrer.

Som påkrevd av ISO/IEC 27000 standarder, er en policy avgjørende for å etablere og vedlikeholde et styringssystem for informasjonssikkerhet (ISMS). En veldefinert policy forblir kritisk selv om organisasjonen ikke har til hensikt å gjøre det implementere ISO 27001 eller annen formell sertifisering.

Retningslinjer for informasjonssikkerhet bør gjennomgås regelmessig for å sikre fortsatt egnethet, tilstrekkelighet og effektivitet.

Når det gjøres endringer i virksomheten, dens risikoer, teknologi, lovverk eller forskrifter, eller hvis sikkerhetssvakheter, hendelser eller hendelser indikerer at det er behov for endringer i retningslinjene.

Hva er endringene og forskjellene fra ISO 27001:2013?

Som en del av ISO 27001 revisjon 2013, slår denne kontrollen sammen vedlegg A kontroller 5.1.1 Retningslinjer for informasjonssikkerhet og 5.1.2 Gjennomgang av retningslinjer for informasjonssikkerhet.

Vedlegg A-kontroll 5.1 tommer ISO 27001:2022 er oppdatert med en beskrivelse av formålet og utvidet implementeringsveiledning, samt en attributttabell som lar brukere forene Annex A-kontroller med bransjeterminologi.

I henhold til vedlegg A 5.1 bør informasjonssikkerhet og emnespesifikke retningslinjer defineres, godkjennes av ledelsen, publiseres, kommuniseres til og anerkjennes av det aktuelle personalet.

En organisasjons informasjonssikkerhetspolicy bør vurdere størrelsen, typen og sensitiviteten til informasjonsmidler, industristandarder og gjeldende myndighetskrav.

I henhold til punkt 5.1.2 i ISO 27001:2013 er formålet med vedlegg A å sikre at informasjonssikkerhetspolicyer jevnlig blir evaluert dersom endringer i informasjonssikkerhetsmiljøet oppstår.

I henhold til ISO 27001: 2013 og ISO 27001: 2022 bør toppledelsen utvikle en sikkerhetspolicy som er godkjent av toppledelsen og beskriver hvordan organisasjonen skal beskytte sine data. Likevel dekker begge versjonene av forsikringene ulike krav.

Sammenlignende analyse av vedlegg A 5.1 Retningslinjer for implementering

I henhold til ISO 27001:2013 bør retningslinjer for informasjonssikkerhet dekke følgende krav:

• Forretningsstrategien.
• Kontrakter, forskrifter og lovverk.
• En beskrivelse av gjeldende og anslått trusselmiljø for informasjonssikkerhet.

Retningslinjer for informasjonssikkerhet bør inneholde følgende utsagn:

• Alle aktiviteter vedr informasjonssikkerhet bør veiledes ved en definisjon av informasjonssikkerhet, mål og prinsipper.
• Styringsansvar for informasjonssikkerhet er tildelt definerte roller på en generell og spesifikk måte.
• Prosessen for håndtering av avvik og unntak.

I motsetning til dette har ISO 27001:2022 mer omfattende krav.

Som en del av informasjonssikkerhetspolicyen bør følgende krav tas i betraktning:

• Strategi og krav til virksomheten.
• Lovverk, forskrifter og kontrakter.
• Informasjonssikkerhetsrisikoer og trusler som eksisterer i dag og i fremtiden.

Uttalelser om følgende bør inkluderes i informasjonssikkerhetspolicyen:

• Definisjon av informasjonssikkerhet.
• Et rammeverk for å etablere informasjonssikkerhetsmål.
• Informasjonssikkerhetsprinsipper bør lede alle aktiviteter.
• En forpliktelse til å overholde alle gjeldende informasjonssikkerhetskrav.
• En pågående forpliktelse til å forbedre styringssystem for informasjonssikkerhet.
• Rollebasert tildeling av ansvar for styring av informasjonssikkerhet.
• Unntak og unntak håndteres i henhold til disse prosedyrene.

I tillegg ble ISO 27001:2022 revidert for å inkludere emnespesifikke retningslinjer for informasjonssikkerhetshendelse, ressursforvaltning, nettverkssikkerhet, hendelseshåndtering og sikker utvikling som emnespesifikke retningslinjer. For å skape et mer helhetlig rammeverk ble noen av kravene i ISO 27001:2013 fjernet eller slått sammen.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.Online hjelper

Med ISMS.online, vil du ha tilgang til et komplett sett med verktøy og ressurser for å hjelpe deg med å administrere ditt eget ISO 27001 Information Security Management System (ISMS), enten du er nykommer eller allerede sertifisert.

I tillegg tilbyr ISMS.online automatiserte prosesser for å forenkle hele gjennomgangsprosessen. Disse prosessene sparer betydelige mengder admintid sammenlignet med andre arbeidsmetoder.

Du vil få et forsprang med ISO 27001-policyer og kontroller fra ISMS.online.

Intuitive arbeidsflyter, verktøy, rammeverk, retningslinjer og kontroller, handlingskraftig dokumentasjon og veiledning, samt handlingsdyktig veiledning gjør det enkelt å implementere ISO 27001 ved å definere omfanget, identifisere risikoer og implementere kontroller basert på våre algoritmer – enten de er laget fra bunnen av eller basert på maler for beste praksis i bransjen.

Kontakt oss i dag for planlegg en demonstrasjon.